Vertrauenswürdiger Start für Azure Kubernetes Service (AKS)

• Azure CLI-Version 2.66.0 oder höher. Führen Sie az --version aus, um die Version zu finden, und führen Sie az upgrade aus, um ein Upgrade für die Version durchzuführen. Informationen zum Durchführen einer Installation oder eines Upgrades finden Sie bei Bedarf unter Installieren der Azure CLI.

1. Erstellen Sie mit dem Befehl az aks create einen AKS-Cluster. Überprüfen Sie vor dem Ausführen des Befehls die folgenden Parameter:

   • --name: Geben Sie einen eindeutigen Namen für den AKS-Cluster ein, z. B. myAKSCluster.
   • --resource-group: Geben Sie den Namen einer vorhandenen Ressourcengruppe ein, um die AKS-Clusterressource zu hosten.
   • --enable-secure-boot: Aktiviert den sicheren Start, um ein von einem vertrauenswürdigen Herausgeber signiertes Image zu authentifizieren.
   • --enable-vtpm: Aktiviert vTPM und führt einen Nachweis durch Messen der gesamten Startkette Ihrer VM durch.

   Hinweis

   Für den sicheren Start sind signierte Bootloader, Betriebssystemkernels und Treiber erforderlich. Sollten Ihre Knoten nach dem Aktivieren des sicheren Starts nicht mehr starten, können Sie überprüfen, welche Startkomponenten für Fehler beim sicheren Start innerhalb eines virtuellen Azure-Linux-Computers verantwortlich sind. Weitere Informationen finden Sie unter Überprüfen von Fehlern beim sicheren Start.

   Im folgenden Beispiel wird ein Cluster mit dem Namen myAKSCluster mit einem einzelnen Knoten in myResourceGroup erstellt. Außerdem werden sicherer Start und vTPM aktiviert:

   az aks create \
       --name myAKSCluster \
       --resource-group myResourceGroup \
       --node-count 1 \
       --enable-secure-boot \
       --enable-vtpm \
       --generate-ssh-keys
   

2. Führen Sie den folgenden Befehl aus, um Anmeldeinformationen für den Zugriff auf den Kubernetes-Cluster zu erhalten. Verwenden Sie den Befehl az aks get-credentials, und ersetzen Sie die Werte für den Clusternamen und den Ressourcengruppennamen.

   az aks get-credentials --resource-group myResourceGroup --name myAKSCluster
   

1. Erstellen Sie eine Vorlage mit vertrauenswürdigen Startparametern. Überprüfen Sie vor dem Erstellen der Vorlage die folgenden Parameter:

   • enableSecureBoot: Aktiviert den sicheren Start, um ein von einem vertrauenswürdigen Herausgeber signiertes Image zu authentifizieren.
   • enableVTPM: Aktiviert vTPM und führt einen Nachweis durch Messen der gesamten Startkette Ihrer VM durch.

   Geben Sie in Ihrer Vorlage Werte für enableVTPM und enableSecureBoot. Das Schema, das für die CLI-Bereitstellung verwendet wird, ist auch in der Definition Microsoft.ContainerService/managedClusters/agentPools unter "properties" verfügbar, wie im folgenden Beispiel zu sehen:

   "properties": {
       ...,
       "securityProfile": {
           "enableVTPM": true,
           "enableSecureBoot": true,
       }
   }
   

2. Stellen Sie Ihre Vorlage mit vTPM bereit, und aktivieren Sie den sicheren Start auf Ihrem Cluster. Ausführliche Anweisungen finden Sie unter Bereitstellen eines AKS-Clusters mithilfe einer ARM-Vorlage .

1. Erstellen Sie eine Bicep Datei mit vertrauenswürdigen Startparametern. Überprüfen Sie vor dem Erstellen der Datei die folgenden Parameter:

   • enableSecureBoot: Aktiviert den sicheren Start, um ein von einem vertrauenswürdigen Herausgeber signiertes Image zu authentifizieren.
   • enableVTPM: Aktiviert vTPM und führt einen Nachweis durch Messen der gesamten Startkette Ihrer VM durch.

   Geben Sie in Ihrer Bicep-Datei Werte für enableVTPM und enableSecureBoot an. Das Schema, das für die CLI-Bereitstellung verwendet wird, ist auch in der Definition Microsoft.ContainerService/managedClusters/agentPools unter properties verfügbar, wie im folgenden Beispiel zu sehen:

   properties: {
     // ...
     securityProfile: {
       enableVTPM: true
       enableSecureBoot: true
     }
   }
   

2. Stellen Sie Ihre Bicep Datei mit vTPM bereit, und aktivieren Sie den sicheren Start auf Ihrem Cluster. Ausführliche Anweisungen finden Sie unter Bereitstellen eines AKS-Clusters mithilfe einer Bicep Datei.

Der AzureRM (azurerm)-Terraform-Anbieter unterstützt Trusted Launch nicht, da er die Einstellungen für Trusted-Launch-Knotenpools nicht offenlegt. Um einen AKS-Cluster mit aktiviertem Trusted Launch zu erstellen, verwenden Sie die Anweisungen zur Azure CLI, zur ARM-Vorlage oder zu Bicep in diesem Artikel.

Das Azure Portal unterstützt das Erstellen eines AKS-Clusters mit aktiviertem vertrauenswürdigen Start nicht. Verwenden Sie zum Erstellen eines AKS-Clusters mit aktiviertem Trusted Launch die Anweisungen in diesem Artikel zur Azure CLI, zur ARM-Vorlage oder zu Bicep.

1. Fügen Sie einen Knotenpool mit aktiviertem vertrauenswürdigen Start mithilfe des az aks nodepool add Befehls hinzu. Überprüfen Sie vor dem Ausführen des Befehls die folgenden Parameter:

   • --cluster-name: Geben Sie den Namen des AKS-Clusters ein.
   • --resource-group: Geben Sie den Namen einer vorhandenen Ressourcengruppe ein, um die AKS-Clusterressource zu hosten.
   • --name: Geben Sie einen eindeutigen Namen für den Knotenpool ein. Der Name eines Knotenpools darf nur alphanumerische Zeichen in Kleinbuchstaben enthalten und muss mit einem Kleinbuchstaben beginnen. Bei Linux-Knotenpools muss die Länge zwischen 1 und 11 Zeichen betragen.
   • --node-count: Die Anzahl der Knoten im Kubernetes-Agentpool. Die Standardeinstellung ist 3.
   • --enable-secure-boot: Aktiviert den sicheren Start, um das von einem vertrauenswürdigen Herausgeber signierte Image zu authentifizieren.
   • --enable-vtpm: Aktiviert vTPM und führt einen Nachweis durch Messen der gesamten Startkette Ihrer VM durch.

   Hinweis

   Für den sicheren Start sind signierte Bootloader, Betriebssystemkernels und Treiber erforderlich. Sollten Ihre Knoten nach dem Aktivieren des sicheren Starts nicht mehr starten, können Sie überprüfen, welche Startkomponenten für Fehler beim sicheren Start innerhalb eines virtuellen Azure-Linux-Computers verantwortlich sind. Weitere Informationen finden Sie unter Überprüfen von Fehlern beim sicheren Start.

   Im folgenden Beispiel wird ein Knotenpool mit aktiviertem vTPM und sicherem Start in einem Cluster namens myAKSCluster mit drei Knoten bereitgestellt:

   az aks nodepool add --resource-group myResourceGroup --cluster-name myAKSCluster --name mynodepool --node-count 3 --enable-vtpm --enable-secure-boot
   

2. Überprüfen Sie, ob Ihr Knotenpool ein Trusted Launch-Image verwendet.

   Vertrauenswürdige Startknoten haben die folgende Ausgabe:

   • Knoten-Image-Version mit "TL", zum Beispiel "AKSUbuntu-2204-gen2TLcontainerd".
   • "Security-type" sollte sein "Trusted Launch".

   kubectl get nodes
   kubectl describe node {node-name} | grep -e node-image-version -e security-type
   

1. Erstellen Sie eine Vorlage mit vertrauenswürdigen Startparametern. Überprüfen Sie vor dem Erstellen der Vorlage die folgenden Parameter:

   • enableSecureBoot: Aktiviert den sicheren Start, um ein von einem vertrauenswürdigen Herausgeber signiertes Image zu authentifizieren.
   • enableVTPM: Aktiviert vTPM und führt einen Nachweis durch Messen der gesamten Startkette Ihrer VM durch.

   Geben Sie in Ihrer Vorlage Werte für enableVTPM und enableSecureBoot. Das Schema, das für die CLI-Bereitstellung verwendet wird, ist auch in der Definition Microsoft.ContainerService/managedClusters/agentPools unter "properties" verfügbar, wie im folgenden Beispiel zu sehen:

   "properties": {
       ...,
       "securityProfile": {
           "enableVTPM": true,
           "enableSecureBoot": true,
       }
   }
   

2. Stellen Sie Ihre Vorlage mit vTPM bereit, und aktivieren Sie den sicheren Start auf Ihrem Cluster. Ausführliche Anweisungen finden Sie unter Bereitstellen eines AKS-Clusters mithilfe einer ARM-Vorlage .

1. Erstellen Sie eine Bicep Datei mit vertrauenswürdigen Startparametern. Überprüfen Sie vor dem Erstellen der Datei die folgenden Parameter:

   • enableSecureBoot: Aktiviert den sicheren Start, um ein von einem vertrauenswürdigen Herausgeber signiertes Image zu authentifizieren.
   • enableVTPM: Aktiviert vTPM und führt einen Nachweis durch Messen der gesamten Startkette Ihrer VM durch.

   Geben Sie in Ihrer Bicep-Datei Werte für enableVTPM und enableSecureBoot. Das Schema, das für die CLI-Bereitstellung verwendet wird, ist auch in der Definition Microsoft.ContainerService/managedClusters/agentPools unter properties verfügbar, wie im folgenden Beispiel zu sehen:

   properties: {
     // ...
     securityProfile: {
       enableVTPM: true
       enableSecureBoot: true
     }
   }
   

2. Stellen Sie Ihre Bicep Datei mit vTPM bereit, und aktivieren Sie den sicheren Start auf Ihrem Cluster. Ausführliche Anweisungen finden Sie unter Bereitstellen eines AKS-Clusters mithilfe einer Bicep Datei.

Der AzureRM- (azurerm) Terraform-Anbieter unterstützt Trusted Launch nicht, da er die Einstellungen für den Trusted-Launch-Knotenpool nicht offenlegt. Verwenden Sie die Anweisungen zur Azure CLI, zu ARM-Vorlagen oder zu Bicep in diesem Artikel, um einen Knotenpool mit aktiviertem Trusted Launch hinzuzufügen.

Das Azure Portal unterstützt das Hinzufügen eines Knotenpools mit aktiviertem vertrauenswürdigen Start nicht. Wenn Sie einen Knotenpool mit aktiviertem Trusted Launch hinzufügen möchten, verwenden Sie die Anweisungen für Azure CLI, ARM-Vorlagen oder Bicep in diesem Artikel.

1. Fügen Sie einen Knotenpool mit aktiviertem vertrauenswürdigem Start und FIPS mithilfe des az aks nodepool add Befehls hinzu. Überprüfen Sie vor dem Ausführen des Befehls die folgenden Parameter:

   • --cluster-name: Geben Sie den Namen des AKS-Clusters ein.
   • --resource-group: Geben Sie den Namen einer vorhandenen Ressourcengruppe ein, um die AKS-Clusterressource zu hosten.
   • --name: Geben Sie einen eindeutigen Namen für den Knotenpool ein. Der Name eines Knotenpools darf nur alphanumerische Zeichen in Kleinbuchstaben enthalten und muss mit einem Kleinbuchstaben beginnen. Bei Linux-Knotenpools muss die Länge zwischen 1 und 11 Zeichen betragen.
   • --node-count: Die Anzahl der Knoten im Kubernetes-Agentpool. Die Standardeinstellung ist 3.
   • --enable-secure-boot: Aktiviert den sicheren Start, um das von einem vertrauenswürdigen Herausgeber signierte Image zu authentifizieren.
   • --enable-vtpm: Aktiviert vTPM und führt einen Nachweis durch Messen der gesamten Startkette Ihrer VM durch.
   • --enable-fips-image: Aktiviert das FIPS-kompatible Knotenimage für den Knotenpool.

   Hinweis

   Für den sicheren Start sind signierte Bootloader, Betriebssystemkernels und Treiber erforderlich. Sollten Ihre Knoten nach dem Aktivieren des sicheren Starts nicht mehr starten, können Sie überprüfen, welche Startkomponenten für Fehler beim sicheren Start innerhalb eines virtuellen Azure-Linux-Computers verantwortlich sind. Weitere Informationen finden Sie unter Überprüfen von Fehlern beim sicheren Start.

   Im folgenden Beispiel wird ein Knotenpool mit vTPM, sicherer Start und FIPS auf einem Cluster mit dem Namen myAKSCluster mit drei Knoten bereitgestellt:

   az aks nodepool add --resource-group myResourceGroup --cluster-name myAKSCluster --name mynodepool --node-count 3 --enable-vtpm --enable-secure-boot --enable-fips-image
   

2. Überprüfen Sie, ob Ihr Knotenpool ein Trusted-Launch-Image verwendet.

   Vertrauenswürdige Startknoten haben die folgende Ausgabe:

   • Version des Node-Images, die sowohl "TL" als auch "FIPS" enthält.
   • "Security-type" ist "Trusted Launch".

   kubectl get nodes
   kubectl describe node {node-name} | grep -e node-image-version -e security-type
   

1. Erstellen Sie eine Vorlage mit den Parametern "Trusted Launch" und "FIPS". Überprüfen Sie vor dem Erstellen der Vorlage die folgenden Parameter:

   • enableSecureBoot: Aktiviert den sicheren Start, um ein von einem vertrauenswürdigen Herausgeber signiertes Image zu authentifizieren.
   • enableVTPM: Aktiviert vTPM und führt einen Nachweis durch Messen der gesamten Startkette Ihrer VM durch.
   • enableFips: Aktiviert das FIPS-kompatible Knotenimage für den Knotenpool.

   Geben Sie in Ihrer Vorlage Werte für enableVTPM, enableSecureBoot und enableFips an. Das Schema, das für die CLI-Bereitstellung verwendet wird, ist auch in der Definition Microsoft.ContainerService/managedClusters/agentPools unter "properties" verfügbar, wie im folgenden Beispiel zu sehen:

   "properties": {
       ...,
       "osSKU": "Ubuntu",
       "enableFips": true,
       "securityProfile": {
           "enableVTPM": true,
           "enableSecureBoot": true,
       }
   }
   

2. Stellen Sie Ihre Vorlage mit vTPM, sicherem Start und FIPS auf Ihrem Cluster bereit. Ausführliche Anweisungen finden Sie unter Bereitstellen eines AKS-Clusters mithilfe einer ARM-Vorlage .

1. Erstellen Sie eine Bicep Datei mit den Parametern "Trusted Launch" und "FIPS". Überprüfen Sie vor dem Erstellen der Datei die folgenden Parameter:

   • enableSecureBoot: Aktiviert den sicheren Start, um ein von einem vertrauenswürdigen Herausgeber signiertes Image zu authentifizieren.
   • enableVTPM: Aktiviert vTPM und führt einen Nachweis durch Messen der gesamten Startkette Ihrer VM durch.
   • enableFips: Aktiviert das FIPS-kompatible Knotenimage für den Knotenpool.

   Geben Sie in Ihrer Bicep-Datei Werte für enableVTPM, enableSecureBootund enableFips. Das Schema, das für die CLI-Bereitstellung verwendet wird, ist auch in der Definition Microsoft.ContainerService/managedClusters/agentPools unter properties verfügbar, wie im folgenden Beispiel zu sehen:

   properties: {
     // ...
     osSKU: 'Ubuntu'
     enableFips: true
     securityProfile: {
       enableVTPM: true
       enableSecureBoot: true
     }
   }
   

2. Stellen Sie Ihre Bicep-Datei mit in Ihrem Cluster aktiviertem vTPM, Secure Boot und FIPS bereit. Ausführliche Anweisungen finden Sie unter Bereitstellen eines AKS-Clusters mithilfe einer Bicep Datei.

Der AzureRM- (azurerm) Terraform-Provider unterstützt Trusted Launch nicht, da er die Trusted-Launch-Knotenpooleinstellungen nicht offenlegt. Um einen Knotenpool mit Trusted Launch und aktiviertem FIPS hinzuzufügen, verwenden Sie die Anweisungen in diesem Artikel für Azure CLI, ARM-Vorlagen oder Bicep.

Das Azure Portal unterstützt das Hinzufügen eines Knotenpools mit aktiviertem vertrauenswürdigem Start und FIPS nicht. Um einen Knotenpool mit aktiviertem Trusted Launch und FIPS hinzuzufügen, verwenden Sie die Anweisungen zur Azure CLI, zur ARM-Vorlage oder zu Bicep in diesem Artikel.

1. Aktualisieren Sie einen Knotenpool, um vTPM oder den sicheren Start mithilfe des az aks nodepool update Befehls zu aktivieren. Überprüfen Sie vor dem Ausführen des Befehls die folgenden Parameter:

   • --resource-group: Geben Sie den Namen einer vorhandenen Ressourcengruppe ein, die Ihren vorhandenen AKS-Cluster hosten soll.
   • --cluster-name: Geben Sie einen eindeutigen Namen für den AKS-Cluster ein, z. B. myAKSCluster.
   • --name: Geben Sie den Namen Ihres Knotenpools ein, z. B. mynodepool.
   • --enable-secure-boot: Aktiviert den sicheren Start, um zu authentifizieren, dass das Image von einem vertrauenswürdigen Herausgeber signiert wurde.
   • --enable-vtpm: Aktiviert vTPM und führt einen Nachweis durch Messen der gesamten Startkette Ihrer VM durch.

   Hinweis

   Für den sicheren Start sind signierte Bootloader, Betriebssystemkernels und Treiber erforderlich. Wenn Ihre Knoten nach dem Aktivieren des sicheren Starts nicht gestartet werden, können Sie überprüfen, welche Startkomponenten für sichere Startfehler innerhalb eines Azure virtuellen Linux-Computers verantwortlich sind. Weitere Informationen finden Sie unter Überprüfen von Fehlern beim sicheren Start.

   Im folgenden Beispiel wird der Knotenpool mynodepool in myAKSCluster in myResourceGroup aktualisiert und vTPM aktiviert:

   az aks nodepool update --cluster-name myAKSCluster --resource-group myResourceGroup --name mynodepool --enable-vtpm
   

   Im folgenden Beispiel wird der Knotenpool mynodepool in myAKSCluster in myResourceGroup aktualisiert und der sichere Start aktiviert:

   az aks nodepool update --cluster-name myAKSCluster --resource-group myResourceGroup --name mynodepool --enable-secure-boot
   

   Im folgenden Beispiel wird der Knotenpool mynodepool in myAKSCluster in myResourceGroup aktualisiert und sowohl vTPM als auch sicherer Start aktiviert:

   az aks nodepool update \
       --cluster-name myAKSCluster \
       --resource-group myResourceGroup \
       --name mynodepool \
       --enable-vtpm \
       --enable-secure-boot
   

2. Überprüfen Sie nach Abschluss des Updates, ob Ihr Knotenpool ein Trusted Launch-Image verwendet.

   Vertrauenswürdige Startknoten haben die folgende Ausgabe:

   • Knoten-Image-Version mit "TL", zum Beispiel "AKSUbuntu-2204-gen2TLcontainerd".
   • "Security-type" ist "Trusted Launch".

   kubectl get nodes
   kubectl describe node {node-name} | grep -e node-image-version -e security-type
   

1. Aktualisieren Sie Ihre ARM-Vorlage mit den Parametern "Trusted Launch". Überprüfen Sie vor dem Aktualisieren der Vorlage die folgenden Parameter:

   • enableSecureBoot: Aktiviert den sicheren Start, um ein von einem vertrauenswürdigen Herausgeber signiertes Image zu authentifizieren.
   • enableVTPM: Aktiviert vTPM und führt einen Nachweis durch Messen der gesamten Startkette Ihrer VM durch.

   Legen Sie in Ihrer Vorlage im Knotenpool securityProfileenableVTPM, enableSecureBoot oder beides fest. Im folgenden Beispiel werden sowohl vTPM als auch sicherer Start aktiviert:

   "properties": {
       ...,
       "securityProfile": {
           "enableVTPM": true,
           "enableSecureBoot": true,
       }
   }
   

2. Stellen Sie Ihre aktualisierte Vorlage mit vTPM und aktiviertem Secure Boot für Ihren Knotenpool bereit. Ausführliche Anweisungen finden Sie unter Bereitstellen eines AKS-Clusters mithilfe einer ARM-Vorlage.

3. Überprüfen Sie nach Abschluss der Bereitstellung, ob Ihr Knotenpool ein Image mit Trusted Launch verwendet.

   Vertrauenswürdige Startknoten haben die folgende Ausgabe:

   • Knoten-Image-Version mit "TL", zum Beispiel "AKSUbuntu-2204-gen2TLcontainerd".
   • "Security-type" ist "Trusted Launch".

   kubectl get nodes
   kubectl describe node {node-name} | grep -e node-image-version -e security-type
   

1. Aktualisieren Sie Ihre Bicep-Datei mit den Parametern für Trusted Launch. Überprüfen Sie vor dem Aktualisieren der Datei die folgenden Parameter:

   • enableSecureBoot: Aktiviert den sicheren Start, um ein von einem vertrauenswürdigen Herausgeber signiertes Image zu authentifizieren.
   • enableVTPM: Aktiviert vTPM und führt einen Nachweis durch Messen der gesamten Startkette Ihrer VM durch.

   Legen Sie in Ihrer Bicep-Datei enableVTPM, enableSecureBoot oder beide im Knotenpool securityProfile fest. Im folgenden Beispiel werden sowohl vTPM als auch sicherer Start aktiviert:

   properties: {
     // ...
     securityProfile: {
       enableVTPM: true
       enableSecureBoot: true
     }
   }
   

2. Stellen Sie die aktualisierte Bicep-Datei mit aktiviertem vTPM und Secure Boot für Ihren Knotenpool bereit. Ausführliche Anweisungen finden Sie unter Bereitstellen eines AKS-Clusters mithilfe einer Bicep Datei.

3. Überprüfen Sie nach Abschluss der Bereitstellung, ob Ihr Knotenpool ein Trusted Launch-Image verwendet.

   Vertrauenswürdige Startknoten haben die folgende Ausgabe:

   • Knoten-Image-Version mit "TL", zum Beispiel "AKSUbuntu-2204-gen2TLcontainerd".
   • "Security-type" ist "Trusted Launch".

   kubectl get nodes
   kubectl describe node {node-name} | grep -e node-image-version -e security-type
   

Der AzureRM- (azurerm) Terraform-Anbieter unterstützt Trusted Launch nicht, da er keine Trusted-Launch-Einstellungen für Knotenpools offenlegt. Um vTPM oder den sicheren Start in einem vorhandenen Knotenpool zu aktivieren, verwenden Sie die Anweisungen Azure CLI, ARM oder Bicep in diesem Artikel.

Das Azure Portal unterstützt das Aktivieren von vTPM oder den sicheren Start in einem vorhandenen Knotenpool nicht. Um vTPM oder den sicheren Start in einem vorhandenen Knotenpool zu aktivieren, verwenden Sie die Anweisungen Azure CLI, ARM oder Bicep in diesem Artikel.

1. Aktualisieren Sie einen Knotenpool, um den sicheren Start oder vTPM mithilfe des az aks nodepool update Befehls zu deaktivieren. Überprüfen Sie vor dem Ausführen des Befehls die folgenden Parameter:

   • --resource-group: Geben Sie den Namen einer vorhandenen Ressourcengruppe ein, die Ihren vorhandenen AKS-Cluster hosten soll.
   • --cluster-name: Geben Sie einen eindeutigen Namen für den AKS-Cluster ein, z. B. myAKSCluster.
   • --name: Geben Sie den Namen Ihres Knotenpools ein, z. B. mynodepool.
   • --disable-secure-boot: Deaktiviert den sicheren Start.
   • --disable-vtpm: Deaktiviert vTPM.

   Im folgenden Beispiel wird der Knotenpool mynodepool in myAKSCluster in myResourceGroup aktualisiert und vTPM deaktiviert:

   az aks nodepool update --cluster-name myAKSCluster --resource-group myResourceGroup --name mynodepool --disable-vtpm
   

   Im folgenden Beispiel wird der Knotenpool mynodepool in myAKSCluster in myResourceGroup aktualisiert und der sichere Start deaktiviert:

   az aks nodepool update --cluster-name myAKSCluster --resource-group myResourceGroup --name mynodepool --disable-secure-boot
   

   Im folgenden Beispiel wird der Knotenpool mynodepool in myAKSCluster in myResourceGroup aktualisiert und sowohl vTPM als auch sicherer Start deaktiviert:

   az aks nodepool update \
       --cluster-name myAKSCluster \
       --resource-group myResourceGroup \
       --name mynodepool \
       --disable-vtpm \
       --disable-secure-boot
   

2. Überprüfen Sie nach Abschluss des Updates, ob ihr Knotenpool das erwartete Image verwendet.

   Wenn entweder vTPM oder Secure Boot aktiviert bleibt, ist bei Trusted-Launch-Knoten die folgende Ausgabe zu sehen:

   • Knoten-Image-Version mit "TL", zum Beispiel "AKSUbuntu-2204-gen2TLcontainerd".
   • "Security-type" ist "Trusted Launch".

   Wenn Sie sowohl vTPM als auch Secure Boot deaktivieren, sollte die Version des Knotenimages "TL" nicht enthalten, und "Security-type" sollte nicht "Trusted Launch" sein.

   kubectl get nodes
   kubectl describe node {node-name} | grep -e node-image-version -e security-type
   

1. Aktualisieren Sie Ihre ARM-Vorlage mit den Parametern "Trusted Launch". Überprüfen Sie vor dem Aktualisieren der Vorlage die folgenden Parameter:

   • enableSecureBoot: Aktiviert den sicheren Start, um ein von einem vertrauenswürdigen Herausgeber signiertes Image zu authentifizieren.
   • enableVTPM: Aktiviert vTPM und führt einen Nachweis durch Messen der gesamten Startkette Ihrer VM durch.

   Legen Sie in Ihrer Vorlage enableVTPM, enableSecureBoot oder beides im Knotenpool securityProfile fest. Im folgenden Beispiel werden sowohl vTPM als auch sicherer Start deaktiviert:

   "properties": {
       ...,
       "securityProfile": {
           "enableVTPM": false,
           "enableSecureBoot": false,
       }
   }
   

2. Stellen Sie Ihre aktualisierte Vorlage mit deaktiviertem vTPM und deaktiviertem Secure Boot in Ihrem Knotenpool bereit. Ausführliche Anweisungen finden Sie unter Bereitstellen eines AKS-Clusters mithilfe einer ARM-Vorlage.

3. Überprüfen Sie nach Abschluss der Bereitstellung, ob Ihr Knotenpool das erwartete Image verwendet.

   Wenn entweder vTPM oder Secure Boot aktiviert bleibt, haben Trusted-Launch-Knoten folgende Ausgabe:

   • Knoten-Image-Version mit "TL", zum Beispiel "AKSUbuntu-2204-gen2TLcontainerd".
   • "Security-type" ist "Trusted Launch".

   Wenn Sie sowohl vTPM als auch Secure Boot deaktivieren, sollte die Version des Knoten-Images "TL" nicht enthalten, und "Security-type" sollte nicht "Trusted Launch" sein.

   kubectl get nodes
   kubectl describe node {node-name} | grep -e node-image-version -e security-type
   

1. Aktualisieren Sie Ihre Bicep-Datei um Trusted Launch-Parameter. Überprüfen Sie vor dem Aktualisieren der Datei die folgenden Parameter:

   • enableSecureBoot: Aktiviert den sicheren Start, um ein von einem vertrauenswürdigen Herausgeber signiertes Image zu authentifizieren.
   • enableVTPM: Aktiviert vTPM und führt einen Nachweis durch Messen der gesamten Startkette Ihrer VM durch.

   Legen Sie in Ihrer Bicep-Datei enableVTPM, enableSecureBoot oder beides im Knotenpool securityProfile fest. Im folgenden Beispiel werden sowohl vTPM als auch sicherer Start deaktiviert:

   properties: {
     // ...
     securityProfile: {
       enableVTPM: false
       enableSecureBoot: false
     }
   }
   

2. Stellen Sie Ihre aktualisierte Bicep-Datei mit deaktiviertem vTPM und deaktiviertem Secure Boot auf Ihrem Knotenpool bereit. Ausführliche Anweisungen finden Sie unter Bereitstellen eines AKS-Clusters mithilfe einer Bicep Datei.

3. Überprüfen Sie nach Abschluss der Bereitstellung, ob Ihr Knotenpool das erwartete Image verwendet.

   Wenn entweder vTPM oder Secure Boot aktiviert bleibt, haben Trusted-Launch-Knoten folgende Ausgabe:

   • Knoten-Image-Version mit "TL", zum Beispiel "AKSUbuntu-2204-gen2TLcontainerd".
   • "Security-type" ist "Trusted Launch".

   Wenn Sie sowohl vTPM als auch Secure Boot deaktivieren, sollte die Version des Knoten-Images "TL" nicht enthalten, und "Security-type" sollte nicht "Trusted Launch" sein.

   kubectl get nodes
   kubectl describe node {node-name} | grep -e node-image-version -e security-type
   

Der AzureRM- (azurerm) Terraform-Anbieter unterstützt Trusted Launch nicht, da er keine Trusted-Launch-Einstellungen für Knotenpools offenlegt. Um vTPM oder Secure Boot in einem vorhandenen Knotenpool zu deaktivieren, verwenden Sie die Anweisungen zu Azure CLI, ARM-Vorlagen oder Bicep in diesem Artikel.

Das Azure Portal unterstützt das Deaktivieren von vTPM oder den sicheren Start in einem vorhandenen Knotenpool nicht. Um vTPM oder Secure Boot in einem vorhandenen Knotenpool zu deaktivieren, verwenden Sie die Anweisungen zu Azure CLI, ARM-Vorlagen oder Bicep in diesem Artikel.